Az állítólagos adatszivárgás Brazil teljes lakosságát érintheti

Egy fenyegető szereplő magára vállalta a felelősséget azért, hogy 1,8 terabájtnyi adatot lopott el a Serasa Experian-tól, az Experian globális hitelkockázati cég brazil leányvállalatától. Az állítólagos adatbázis 223 millió egyént érint, ami gyakorlatilag Brazil teljes népességét lefedi, beleértve az elhunyt személyeket is, akiknek adatait a pénzügyi adatbázisok még mindig tárolják.

Az állítás szerint az ellopott információk tartalmazzák a teljes neveket, születési dátumokat, e-mail-címeket és CPF-számokat. A CPF, vagyis a Cadastro de Pessoas Físicas, Brazil nemzeti adóazonosító száma, amely hasonló szerepet tölt be, mint az Egyesült Államokban a társadalombiztosítási szám. Banki szolgáltatások igénybevételéhez, adóbevallások benyújtásához, személyazonosság-ellenőrzéshez és számtalan mindennapi tranzakcióhoz használják. Ha az incidens a jelzett mértékben igazolódik, az az egyetlen országot érintő adatkitettségek valaha rögzített legnagyobb esetei közé tartozna.

A Serasa Experian Brazil egyik legmeghatározóbb hiteliroda-szervezete, amely az ország szinte minden felnőttjéről pénzügyi és személyes adatokat tárol. A vállalat a cikk megírásának időpontjáig nem erősítette meg nyilvánosan az adatszivárgást.

Milyen adatokat vettek el állítólag, és miért fontos ez?

Az állítólagos adatszivárgásban érintett adattípusok kombinációja különösen aggasztó. A CPF-számok – a jelszavakkal ellentétben – nem cserélhetők le. Ha egy nemzeti azonosítószám egyszer nyilvánosságra kerül, az tartós kötelezettséget jelent. Teljes névvel, születési dátummal és e-mail-címmel párosítva szinte teljes profilt nyújt a rosszindulatú szereplőknek személyazonosság-lopás elkövetéséhez, hamis hitelszámlák megnyitásához, hamis adóbevallások benyújtásához vagy személyazonosság-ellenőrzési rendszerek megkerüléséhez.

Brazíliában korábban is előfordultak jelentős adatvédelmi incidensek. 2021-ben egy külön adatszivárgás során több száz millió brazil CPF-adatai és személyes adatai kerültek nyilvánosságra, ami széles körű aggodalmat váltott ki az érzékeny nemzeti adatokat kezelő vállalatok biztonsági gyakorlatával kapcsolatban. Ugyanazon alapvető személyazonossági adatok újabb, nagyobb méretű kiszivárogtatása drámai mértékben növeli ezt a kockázatot. Azok, akik már lépéseket tettek védekezés céljából a korábbi incidensek nyomán, azt tapasztalhatják, hogy erőfeszítéseiket aláássa ez az új adatbázis, ha az széles körben terjed el.

Az ilyen jellegű adatokat jellemzően underground fórumokon értékesítik, közvetlenül csalásra használják, vagy más kiszivárgott adatbázisokkal kombinálják, hogy egyre részletesebb profilokat hozzanak létre az egyénekről. Az itt igényelt rekordok puszta mennyisége – 1,8 TB – arra utal, hogy ez nem egy kis méretű vagy célzott lopás.

Hogyan tesznek lehetővé az ilyen jellegű adatszivárgások szélesebb körű adatvédelmi fenyegetéseket?

Gyakori tévhit, hogy az adatszivárgás csak a csalás közvetlen áldozatait érinti. Valójában az ilyen nagyszabású szivárgások hullámzó hatásokat keltenek, amelyek a mindennapi digitális életbe is begyűrűznek.

Ha az olyan személyes azonosítók, mint a CPF-számok és az e-mail-címek nyilvánosan elérhetővé válnak, a hirdetők, adatközvetítők és rosszindulatú szereplők ezeket az információkat összekapcsolhatják más online viselkedéssel. Böngészési szokásai, alkalmazáshasználata, tartózkodási helyadatai és vásárlási előzményei sokkal könnyebben köthetők vissza valódi személyazonosságához, ha egy alapvető azonosítója nyilvánosságra került. Ezt néha újraazonosításnak nevezik, és ez aláása azt a gyakorlati anonimitást, amelyet sokan feltételeznek magukról az interneten.

A célzott csaláson túl a nyilvánosságra került adatok adathalász kampányokat is táplálnak. Egy áldozat nevével, e-mail-jével és CPF-jével a kezében egy csaló meggyőző üzeneteket fogalmazhat meg, amelyek úgy tűnnek, mintha egy banktól, kormányzati szervtől vagy közszolgáltatótól érkeznének. Ezeket a támadásokat pontosan azért nehezebb felismerni, mert valós, pontos információkat használnak.

Mit jelent ez az Ön számára?

Ha Brazíliában él, vagy kapcsolatban áll brazil pénzügyi vagy kormányzati rendszerekkel, feltételezheti, hogy CPF-száma és kapcsolódó személyes adatai már forgalomban lehetnek, függetlenül ettől a konkrét adatszivárgástól. Ez nem ok a pánikra, de indok arra, hogy alaposan megvizsgálja digitális szokásait.

Íme néhány konkrét lépés, amelyek megtételét érdemes megfontolni:

  • Kövesse figyelemmel CPF-tevékenységét. A brazil Receita Federal és számos pénzügyi platform lehetővé teszi, hogy ellenőrizze CPF-je jogosulatlan felhasználását. Tegye ezt rendszeres szokássá.
  • Engedélyezze a riasztásokat pénzügyi számláin. Állítson be valós idejű tranzakciós értesítéseket minden CPF-jéhez vagy banki személyazonosságához kapcsolt számlán.
  • Legyen gyanakvó a bejövő megkeresésekkel szemben. Minden e-mailt, SMS-t vagy telefonhívást, amely személyes adatok megerősítését kéri, jelentős gyanakvással kezeljen, még akkor is, ha a feladó látszólag ismeri az adatait.
  • Használjon egyedi, erős jelszavakat és kétfaktoros hitelesítést. A nyilvánosságra került e-mail-címeket gyakran használják más szolgáltatások elleni hitelesítési adatokkal való visszaélésre irányuló támadásokban.
  • Gondolja át, hogy böngészési és digitális tevékenységeinek mekkora része kapcsolódik valódi személyazonosságához. A nyomkövetést korlátozó és a harmadik felek számára elérhető adatokat csökkentő eszközök egyre értékesebbé válnak – nem kevésbé –, ha alapvető azonosítói nyilvánosságra kerültek.

A Serasa Experian elleni adatszivárgási igény emlékeztetőül szolgál arra, hogy egy adatkitettségből eredő kockázat ritkán marad egyetlen pillanatra vagy egyetlen csalástípusra korlátozott. Az alapvető személyazonossági adatok, ha egyszer kikerülnek, évekig keringenek. Az összetett adatvédelmi szokások – a számlafigyelés, a bejövő kommunikációval szembeni gyanakvás és a digitális lábnyom csökkentésének kombinálása – kínálják a legtöbb praktikus védelmet akkor, amikor maguk az adatok már nem vonhatók vissza.